نظام إدارة مختبر الحاسوب باستخدام PHP و MySQL 1.0

المُقدِّم: Kha Do

الثغرة الأمنية

Cross Site Scripting

الوصف

ثغرة البرمجة النصية عبر المواقع في /php-lms/classes/Users.php?f=save في نظام إدارة مختبر الحاسوب باستخدام PHP و MySQL 1.0 تسمح للمهاجمين عن بعد بحقن نصوص برمجية ويب أو HTML عشوائية عبر المعاملات firstname و middlename و lastname.

المكون المتأثر

Path URL: /php-lms/classes/Users.php?f=save

المعاملات: firstname, middlename, lastname

إثبات المفهوم

أدخل الحمولة <script>alert(123)</script> في المعامل firstname واحفظه.

بعد الحفظ، ستظهر نافذة منبثقة مثل هذه: